# EKS 安全 ## 概述遵循 2025 年最佳实践的 Amazon EKS 集群综合安全强化指南。该技能涵盖控制平面安全、工作负载隔离、机密管理、网络策略、图像扫描、运行时安全和合规性框架。 **关键词**：EKS 安全、集群强化、IRSA、Pod 安全标准、网络策略、机密管理、合规性、漏洞扫描、运行时安全、事件响应 **状态**：生产就绪（2025 年最佳实践） ## 何时使用此技能 * 强化新的 EKS 集群以用于生产 * 实施安全控制和政策 * 配置RBAC和IAM访问 * 设置机密管理 * 准备合规审核（CIS、NIST、SOC2） * 安全事件响应 * 扫描并修复漏洞 * 实施零信任网络 * 设置运行时安全监控 ## 安全架构概述 ┌──────────────────────────────────────────────────────────────┐ │ EKS 安全层 │ ├──────────────────────────────────────────────────────────────┤ │ │ │ 第一层：控制平面安全 │ │ • 私有 API 端点 │ │ • 启用审核日志记录 │ │ • 使用 KMS 进行秘密加密 │ │ • IP 白名单 │ │ │ │ 第 2 层：身份验证和授权 │ │ • 服务账户 (IRSA) 的 IAM 角色 │ │ • 具有最小权限的 RBAC │ │ • 工作负载的 Pod 身份 │ │ • 服务帐户隔离 │ │ │ │ 第 3 层：工作负载安全 │ │ • Pod 安全标准（受限） │ │ • 安全上下文 │ │ • 只读根文件系统 │ │ • 非 root 用户 │ │ • 资源限制 │ │ │ │ 第 4 层：网络安全 │ │ • 网络策略（VPC CNI 1.14+） │ │ • Pod 的安全组 │ │ • 节点的私有子网 │ │ • VPC 流日志 │ │ • mTLS 与服务网格 │ │ │ │ 第 5 层：秘密和数据保护 │ │ • 外部秘密运营商 │ │ • AWS Secrets Manager 集成 │ │ • 加密的etcd │ │ • 自动旋转 │ │ │ │ 第 6 层：图像和运行时安全 │ │ • Amazon Inspector 扫描 │ │ • 准入控制器（OPA/Gatekeeper） │ │ • 运行时监控（Falco、GuardDuty） │ │ • 图像签名/验证 │ │ │ │ 第 7 层：合规与审计 │ │ • CloudTrail 日志记录 │ │ •EKS 的 GuardDuty │ │ • 安全中心集成 │ │ • CIS/NIST 合规性检查 │ │ │ └──────────────────────────────────────────────────────────────┘ ## 快速入门：基本安全检查表 ### 集群级别（第 0 天） * 启用私有 API 端点（或公共 + IP 白名单） * 启用所有控制平面日志记录 * 使用KMS配置秘密加密 * 使用最新的 Kubernetes 版本（2个版本以内） * 启用审计日志记录 * 配置带有私有子网的VPC ### 节点级别（第 0 天） * 使用 Amazon Linux 2023 或 Bottlerocket AMI * 启用 IMDSv2 强制执行 * 节点角色的最小 IAM 权限 * 仅在私有子网中部署节点 * 启用SSM进行远程访问（禁用SSH） * 计划定期节点轮换（最多 21 天） ### 工作负载级别（第 1 天） * 实施 Pod 安全标准（限制级别） * 使用 IRSA 进行所有 AWS 服务访问 * 没有特权容器 * 配置安全上下文（runAsNonRoot、readOnlyRootFilesystem） * 设置资源限制和请求 * 每个应用程序使用专用服务帐户 ### 网络级别（第一天） * 启用网络策略（VPC CNI 1.14+ 或 Calico/Cilium） * 配置默认拒绝所有策略 * 使用 Pod 安全组进行 AWS 资源访问 * 启用VPC流日志 * 限制出口流量 * 尽可能部署私有负载均衡器 ### 秘密管理（第一天） * 部署外部Secrets Operator * 将机密迁移到 AWS Secrets Manager * 启用自动秘密轮换 * 删除硬编码凭证 * 通过CloudTrail审核秘密访问 ### 图像安全（第 1-2 天） * 为 ECR 存储库启用 Amazon Inspector * 配置推送时自动扫描 * 阻止关键漏洞的部署 * 实现图像签名（Sigstore/Notary） * 使用最少的基础镜像（distroless、Chainguard） * 旧镜像的ECR生命周期策略 ### 合规性与监控（第 2-3 天） * 为 EKS 启用 GuardDuty * 配置安全中心 * 运行 kube-bench 以实现 CIS 合规性 * 部署运行时安全性（Falco） * 设置CloudWatch安全事件警报 * 配置SIEM集成 ## 安全工作流程 ### 第一阶段：基础（控制平面） 1. 检查控制平面端点配置 2.启用全面的日志记录 3. 配置密钥的KMS加密 4. 设置 IAM 身份验证 5.实施API访问控制 **参见**：[references/cluster-security.md]() ### 第 2 阶段：工作负载强化 1. 实施 Pod 安全标准 2. 配置安全上下文 3. 为服务帐户设置 IRSA 4. 部署RBAC策略 5. 启用准入控制器 **参见**：[references/workload-security.md]() ### 第 3 阶段：秘密和数据保护 1.部署外部Secrets Operator 2. 将密钥迁移到 AWS Secrets Manager 3.配置自动轮换 4. 设置 CSI Secrets Store 驱动程序（如果需要） 5. 审计和监控秘密访问 **参见**：[references/secrets-management.md]() ### 第 4 阶段：网络安全 1. 启用网络策略 2.配置默认拒绝规则 3. 为 Pod 设置安全组 4. 使用 mTLS 实现服务网格（可选） 5. 启用VPC流日志 ### 第 5 阶段：运行时安全 1.部署图片扫描 2. 配置准入控制器 3.设置运行时监控（Falco） 4. 为 EKS 启用 GuardDuty 5. 配置事件响应 ### 第 6 阶段：合规与审计 1. 运行安全基准测试 2. 配置持续合规性 3. 设置安全仪表板 4. 文档安全控制 5. 定期进行安全审查 ## 关键安全控制 ### 1\.服务账户 (IRSA) 的 IAM 角色 **为什么**：提供 Pod 级 AWS 权限，无需节点级凭证 **快速实施**： # IRSA 的服务帐户 api版本：v1 种类：服务帐户元数据：名称：我的应用程序sa 命名空间：生产注释： eks.amazonaws.com/role-arn: arn:aws:iam::ACCOUNT_ID:role/my-app-role **最佳实践**： * 每个应用程序一个服务帐户 * 具有命名空间和 SA 名称的显式信任策略 * 最小权限 IAM 策略 * 定期审核角色使用情况 **详细信息**：[references/cluster-security.md#irsa]() ### 2\. Pod 安全标准 **为什么**：防止权限升级并实施安全最佳实践 **快速实施**： # 受限命名空间 api版本：v1 种类：命名空间元数据：名称：生产标签： pod-security.kubernetes.io/enforce：受限 pod-security.kubernetes.io/audit：受限 pod-security.kubernetes.io/warn：受限 **级别**： * **特权**：无限制（在生产中避免） * **基线**：最小限制（开发） * **restricted** ：综合限制（生产所需） **详细信息**：[references/workload-security.md#pod-security-standards]() ### 3\.网络政策 **为什么**：实施微分段和零信任网络 **快速实施**： # 默认拒绝所有流量 api版本：networking.k8s.io/v1 种类：网络策略元数据：名称：默认拒绝所有命名空间：生产规格： pod选择器：{} 政策类型： - 入口 - 出口 **能力**： * Pod 到 Pod 的流量控制 * 命名空间隔离 * 外部服务访问控制 * 通过 Pod 安全组进行深度防御 **详细信息**：[references/workload-security.md#network-policies]() ### 4\.外部秘密运营商 **为什么**：集中秘密管理，自动轮换 **快速实施**： # 外部秘密资源 api版本：external-secrets.io/v1beta1 种类：外部秘密元数据：名称：应用程序秘密命名空间：生产规格：刷新间隔：1h 秘密商店参考：名称：aws-secrets-manager 种类: 秘密商店目标：名称：应用程序秘密-k8s 数据： - SecretKey：数据库密码远程参考：密钥：产品/数据库/密码 **好处**： * 自动同步 * 与 Fargate 配合使用（与 CSI 驱动程序不同） * 多种后端支持 * 通过 CloudTrail 进行审计跟踪 **详细信息**：[references/secrets-management.md#external-secrets-operator]() ### 5\.容器镜像扫描 **为什么**：在部署之前识别并修复漏洞 **Amazon Inspector 2025 功能**： * 容器镜像映射（显示正在运行的容器） * 扩展覆盖范围（distroless、scratch、Chainguard） * 通过自动重新扫描进行连续监控 * 基于活跃运行的镜像的优先级 **快速设置**： # 启用增强扫描 aws ecr put-registry-scanning-configuration \ --扫描类型增强 \ --rules '[{"repositoryFilters":[{"filter":"*","filterType":"WILDCARD"}],"scanFrequency":"CONTINUOUS_SCAN"}]' **详细信息**：[references/workload-security.md#image-scanning]() ### 6\.运行时安全监控 **为什么**：实时检测并响应威胁 **工具**： * **Amazon GuardDuty for EKS**：托管威胁检测 * **Falco** ：开源运行时安全 * **OPA/Gatekeeper**：策略执行 **EKS 功能的 GuardDuty** ： * 可疑的API调用 * 权限提升尝试 * 加密货币挖矿检测 * 异常网络活动 * 集装箱逃逸尝试 **详细信息**：[references/workload-security.md#runtime-security]() ## 安全模式 ### 模式 1：零信任集群（最大安全性） **配置**： * 仅限私有 API 端点 * 私有子网中的所有节点 * 启用网络策略（默认拒绝） * Pod 安全标准（受限） * mTLS 服务网格 (Istio) * 没有公共负载均衡器 * VPN/直接连接访问 **用例**：医疗保健、金融、受监管行业 ### 模式 2：纵深防御生产集群 **配置**： * 公共+私有API端点 * 公共端点上的 IP 允许列表 * 私有子网中的节点 * Pod 的网络策略 + 安全组 * Pod 安全标准（受限） * 外部秘密运营商 * 启用 GuardDuty + Inspector **用例**：标准生产工作负载 ### 模式 3：多租户集群 **配置**： * 使用 RBAC 进行命名空间隔离 * 每个命名空间的资源配额 * 每个命名空间的网络策略 * 具有污点/容忍的专用节点组 * 每个命名空间的 Pod 安全标准 * 所有 API 调用的审核日志记录 **用例**：平台团队、SaaS 应用程序 ## 合规框架 ### CIS Kubernetes 基准 **工具**：kube-bench # 运行 CIS 基准测试 kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job-eks.yaml # 查看结果 kubectl 日志 -n kube-bench 作业/kube-bench **关键控制**： * 控制平面安全 * 工作节点配置 * Pod安全策略 * 网络政策 * 认证/授权 ### NIST 800-190（容器安全） **五个领域**： 1. 图像安全和完整性 2. 注册表安全 3. 协调器安全 4. 容器运行时安全 5. 主机操作系统安全 **实现** ：请参阅 [references/cluster-security.md#compliance]() 中的详细映射 ### SOC2 / HIPAA / PCI-DSS **共同要求**： * 静态和传输中加密 * 审计记录和监控 * 访问控制（RBAC + IRSA） * 漏洞扫描 * 事件响应程序 * 定期安全评估 ## 安全事件响应 ### 检测源 1. GuardDuty 警报 2.CloudWatch报警 3.Falco运行时警报 4.审计日志异常 5. 网络流量分析 6. 容器镜像扫描结果 ### 响应工作流程 1. **识别**：确定范围和严重性 2. **包含**：隔离受影响的工作负载 3. **根除**：删除恶意组件 4. **恢复** : 从已知良好状态恢复 5. **回顾**：事件后分析 ### 常见场景 **受损 Pod** ： # 立即隔离 kubectl label pod security=isolated kubectl apply -f - < > pod-logs.txt kubectl exec -- ps aux >processes.txt # 删除 Pod kubectl 删除 pod **详细信息**：[references/workload-security.md#incident-response]() ## 详细文档对于全面的安全配置和高级主题： * **集群级安全性** : [references/cluster-security.md]() * 控制平面强化 * API端点配置 * 审核日志记录设置 * IRSA详细配置 * RBAC最佳实践 * 合规框架 * **工作负载安全**：[references/workload-security.md]() * Pod 安全标准实施 * 安全上下文配置 * 网络策略模式 * 图像扫描及验证 * 运行时安全（Falco、GuardDuty） * 准入控制器（OPA/Gatekeeper） * 事件响应程序 * **秘密管理** : [references/secrets-management.md]() * 外部秘密操作员设置 * AWS Secrets Manager 集成 * CSI 秘密存储驱动程序 *秘密轮换策略 * 加密配置 * 审计和监控 ## 安全评估工具 ### 扫描和评估 * **kube-bench** ：CIS Kubernetes 基准测试 * **kube-hunter** ：主动漏洞扫描 * **Polaris** ：配置验证 * **Trivy** ：漏洞和错误配置扫描 * **Checkov** ：IaC 安全扫描 ### 运行时安全 * **Falco** ：运行时威胁检测 * **GuardDuty for EKS**：AWS 管理的威胁检测 * **Sysdig** ：容器安全平台 ### 政策执行 * **OPA/Gatekeeper**：策略即代码 * **Kyverno** ：Kubernetes 原生策略引擎 * **Pod 安全准入**：内置 PSS 强制执行 ## 要避免的常见安全反模式反模式|风险|解决方案 ---|---|--- 使用默认服务帐户 |过于宽容 |为每个应用程序创建专用服务帐户特权容器|主机访问、容器逃逸|使用特定功能，PSS 受限清单中的硬编码秘密 |凭证曝光 |使用外部秘密操作员没有网络政策|横向运动|实施默认拒绝策略以 root 身份运行 |权限升级 |设置 runAsNonRoot: true 无限制的公共 API 端点 |未经授权的访问 |使用专用端点或 IP 白名单没有图像扫描 |漏洞部署 |启用亚马逊检查器共享节点 IAM 角色 |权限过多|使用 IRSA 获取 pod 级别的权限无资源限制 |资源枯竭|设置请求和限制缺少审计日志|没有法医能力|启用所有控制平面日志 ## 自动安全强化 ### Terraform 模块（推荐）模块“eks_security”{ 来源=“./modules/eks-security” cluster_name = “生产集群” # 控制平面启用私有端点 = true 启用公共端点 = false 启用审计日志记录 = true kms_key_arn = aws_kms_key.eks.arn # 工作负载安全 pod_security_standard = "受限" 启用网络策略 = true # 秘密部署外部秘密 = true Secrets_manager_role_arn = aws_iam_role.secrets.arn # 监控启用_guardduty = true 启用检查器 = true # 合规性 cis_compliance_mode = true } **查看完整示例**：[references/cluster-security.md#terraform]() ## 安全路线图 ### 第 1 周：基础 * 审查并强化控制平面 * 配置审计日志记录 * 为关键工作负载设置 IRSA * 启用 Pod 安全标准 ### 第 2 周：网络与秘密 * 部署网络策略 * 实现外部秘密操作员 * 为Pod配置安全组 * 启用VPC流日志 ### 第 3 周：扫描和运行时 * 启用亚马逊检查器 * 为 EKS 部署 GuardDuty * 配置Falco（可选） * 设置准入控制器 ### 第 4 周：合规与运营 * 运行 CIS 基准测试 * 配置安全中心 * 文档安全控制 * 对团队进行事件响应培训 * 安排定期安全审查 ## 快速参考命令 ### 安全审计 # 检查 Pod 安全标准 kubectl get 命名空间 -o custom-columns=NAME:.metadata.name,PSS:.metadata.labels.pod-security\.kubernetes\.io/enforce # 列出 IRSA 的服务帐户 kubectl get sa -A -o jsonpath='{range .items[?(@.metadata.annotations.eks\.amazonaws\.com/role-arn)]}{.metadata.namespace}{"\t"}{.metadata.name}{"\t"}{.metadata.annotations.eks\.amazonaws\.com/role-arn}{"\n"}{end}' # 检查特权 Pod kubectl get pods -A -o jsonpath='{range .items[?(@.spec.containers[*].securityContext.privileged==true)]}{.metadata.namespace}{"\t"}{.metadata.name}{"\n"}{end}' # 列出以 root 身份运行的 pod kubectl get pods -A -o jsonpath='{range .items[?(@.spec.securityContext.runAsNonRoot!=true)]}{.metadata.namespace}{"\t"}{.metadata.name}{"\n"}{end}' # 检查网络策略 kubectl 获取网络策略 -A # 查看审计日志 aws 日志 tail /aws/eks/product-cluster/cluster --follow --filter-pattern '{ $.verb != "get" && $.verb != "list" && $.verb != "watch" }' ### 安全监控 # GuardDuty 调查结果 aws Guardduty list-findings -- detector-id --finding-criteria '{"Criterion":{"resource.resourceType":{"Eq":["EKS"]}}}' # 检查器扫描结果 aws Inspector2 list-findings --filter-criteria '{"ecrImageRepositoryName":[{"comparison":"EQUALS","value":"my-repo"}]}' # CloudWatch 容器见解 aws cloudwatch 获取指标统计 \ --命名空间 ContainerInsights \ --metric-name pod_cpu_utilization \ --dimensions 名称=集群名称,值=生产集群 ** ** **最后更新**：2025 年 11 月 **Kubernetes 版本**：1.33 **安全标准**：CIS Kubernetes Benchmark 1.8、NIST 800-190、AWS Well-Architected **状态**：生产就绪

埃克斯安全

包含技能